SSO en Dokuflex: Active Directory, ADFS, OAuth, SAML, CAS y 2FA — todos los estándares de autenticación empresarial

Por qué un BPM necesita SSO empresarial

Un BPM gestiona expedientes, contratos, facturas, firmas y aprobaciones. Es decir: datos personales, financieros y legales. Cada usuario que se autentica fuera del perímetro corporativo es un vector de riesgo y una identidad más que mantener.

Sin SSO se acumulan cuatro problemas: contraseñas débiles o reutilizadas, exempleados con acceso vigente, auditoría imposible de cruzar con el SIEM corporativo, y ralentización del alta/baja de personal (semanas, no minutos).

Con SSO conectado a tu fuente de verdad (Active Directory, Entra ID o Google Workspace), la baja de un empleado en RRHH desactiva el acceso en Dokuflex en el mismo ciclo de aprovisionamiento. Sin tickets, sin Excel.

Tabla de protocolos soportados

Lo que está cubierto de fábrica, sin desarrollo a medida ni módulos premium ocultos:

Todos los protocolos están incluidos en el plan Business y superiores, sin coste por usuario adicional ni licencia "Enterprise Security" separada.

Active Directory y LDAP/LDAPS

El caso más habitual en empresas medianas con dominio Windows. Dokuflex se conecta al controlador de dominio vía LDAPS (LDAP sobre TLS) y autentica al usuario sin almacenar nunca la contraseña.

Lo que se configura en menos de 1 hora:

• URL del DC: ldaps://dc.empresa.local:636
• Bind DN técnico (cuenta de servicio con permiso de lectura).
• Base DN de búsqueda: OU=Usuarios,DC=empresa,DC=local
• Mapeo de atributos: sAMAccountName, mail, memberOf para roles.
• Filtro de pertenencia: solo usuarios del grupo CN=Dokuflex-Users,OU=Apps.

Para entornos híbridos (AD on-prem + Entra ID en la nube), recomendamos delegar autenticación a Entra ID con OIDC y reservar LDAP solo para integraciones de backoffice.

ADFS y SAML 2.0

Si tu empresa ya federa aplicaciones con ADFS o un IdP SAML (Okta, OneLogin, Ping Identity, Auth0, Keycloak, Shibboleth), Dokuflex se conecta como Service Provider en pocos pasos:

1. Descargas los metadatos SP de Dokuflex (XML con entityID, ACS URL y certificado).
2. Los importas en tu IdP como nueva Relying Party / Application.
3. Defines los claims que viajan en la aserción SAML: NameID, email, groups, department.
4. Subes los metadatos IdP en el panel de Dokuflex.
5. Mapeas groups SAML → roles Dokuflex.

Soportamos SP-Initiated SSO, IdP-Initiated SSO, Single Logout (SLO), firma y cifrado de aserciones, y rotación automática de certificados.

OAuth 2.0 y OIDC con Google y Microsoft Entra ID

Para organizaciones con identidad en la nube, el flujo recomendado es OAuth 2.0 + OpenID Connect (authorization code + PKCE). Es el estándar moderno: rotación de tokens, refresh tokens, claims firmados con JWT.

En ambos casos Dokuflex no almacena la contraseña ni el factor de autenticación: la sesión vive en tu IdP y Dokuflex solo recibe el token firmado.

CAS (Central Authentication Service)

CAS es el estándar dominante en universidades públicas, hospitales y administraciones públicas en España y Europa. Dokuflex implementa CAS 3.x como cliente:

• Configuración del cas-server-url.
• Validación del ticket de servicio con /serviceValidate.
• Lectura de atributos (departamento, role) desde la respuesta CAS.
• Logout federado (single sign-out) con notificación al CAS server.

Si tu organización trabaja con cl@ve, Cl@ve Firma, AutenticaIDP u otros IdP del sector público, también se integran sobre SAML 2.0 federado.

2FA / MFA: factores y políticas

Cuando el IdP corporativo ya impone MFA (Entra ID Conditional Access, Google 2-Step), Dokuflex lo respeta sin pedir un segundo factor adicional. Cuando no, lo aplica directamente en login.

Factores soportados:

• TOTP (RFC 6238): Google Authenticator, Authy, Microsoft Authenticator, 1Password, Bitwarden.
• WebAuthn / FIDO2: YubiKey, passkeys de dispositivo (Touch ID, Windows Hello), llaves Titan.
• SMS (con limitación recomendada por NIST para entornos sensibles).
• Email OTP para usuarios externos sin smartphone corporativo.
• Push notification desde la app móvil Dokuflex.
• Certificado digital + DNIe como segundo factor en operaciones de firma.

Políticas configurables: obligatorio para administradores, condicional por rol, por IP (interna sin MFA / externa con MFA), por sensibilidad (firmar, exportar, aprobar > X€), y por inactividad de la sesión.

Aprovisionamiento automático (SCIM 2.0) y JIT

Más allá del login, Dokuflex se sincroniza con tu IdP en dos modos:

• JIT (Just-In-Time): el usuario se crea automáticamente en Dokuflex la primera vez que entra vía SSO. Útil para SAML/OIDC con grupos como claims.
• SCIM 2.0: sincronización proactiva desde Entra ID, Okta, OneLogin o Workspace. Crea, actualiza y desactiva usuarios y grupos en tiempo real desde el IdP, sin intervención manual.

Combinado: cuando RRHH da de baja a alguien en Workday/SAP SuccessFactors, el cambio fluye al IdP y de ahí a Dokuflex en minutos. Cero accesos huérfanos.

Cumplimiento normativo

El SSO/MFA de Dokuflex está diseñado para sostener auditorías de:

Cada autenticación, intento fallido, cambio de factor MFA y modificación de política queda registrado en el log inmutable de Dokuflex, exportable a tu SIEM (Splunk, QRadar, Elastic, Sentinel) vía syslog o API.

Checklist para CISO antes del despliegue

• 1. IdP autoritativo elegido: Entra ID, Google Workspace o ADFS como fuente única.
• 2. MFA aplicado a administradores: obligatorio con WebAuthn/FIDO2 como primer factor recomendado.
• 3. Cuenta break-glass: una cuenta local de emergencia con MFA reforzado y registro de uso, fuera del IdP.
• 4. Mapeo de roles validado: grupos del IdP ↔ roles de Dokuflex documentados y aprobados por negocio.
• 5. SLO probado: que cerrar sesión en el IdP cierre la sesión en Dokuflex.
• 6. Logs conectados al SIEM: eventos de autenticación enviados al centro de operaciones de seguridad.
• 7. Política de sesión: tiempo de vida del token, reautenticación para acciones sensibles, IP allowlist si aplica.

Preguntas frecuentes